3줄 요약
1. 조사 기간 확대 결과, 최초 개인정보 유출 정황 작년 10월
2. “위약금 면제 규모는 합조단 조사 결과 등 검토 후 결정”
3. “서버 폐기 고의성 없어...수사 성실히 협조”

[보안뉴스 강현주 기자] KT 무단 소액결제에 쓰인 불법 펨토셀 ID가 추가로 확인됐다. 범행에 동원된 불법 펨토셀 아이디는 총 20개로 늘었다. 또 2024년 10월 이미 최초로 고객 개인정보가 유출된 정황이 발견됐다.

17일 KT는 무단 소액결제 피해와 관련한 데이터 전수 조사를 완료하고 서울 광화문 KT 사옥에서 결과를 발표했다.

조사 결과 기존 4개였던 불법 펨토셀 ID는 추가로 16개가 발견돼 총 20개로 확인됐다. 이들 펨토셀 ID 접속 이력이 있는 고객 수는 2200여명으로 파악됐다. 이로써 불법 펨토셀에 접속한 고객 수는 총 2만 2200여 명으로 집계됐다.

추가로 확인된 불법 펨토셀 ID 16개 중 1개 ID에서 무단 소액결제 의심 건이 발생한 것으로 확인됐다. 무단 소액결제 피해 고객은 기존 362명에서 6명 추가된 368명이다. 이들 6명의 소액결제 피해액은 총 319만 원이다.


▲서창석 KT 네트워크 부문 부사장이 17일 KT광화문빌딩에서 소액결제 및 개인정보 유출 피해 관련 전수 조사 결과를 발표하고 있다. [자료: 연합]

앞서 KT는 올해 6월부터 9월 10일까지 약 3개월의 기간을 대상으로 조사를 한 바 있다. 이번 전수조사에선 2024년 8월 1일부터 2025년 9월 10일까지 약 13개월로 기간을 확대했다.

이 기간 이뤄진 모든 통신과금대행 결제내역 약 1억 5000만 건을 조사했다. 통신과금결제란 제3자가 제공하는 재화나 서비스를 이용자가 자신의 통신요금에 합산해 함께 결제하는 방식이다. 앞선 조사에선 올해 9월 26일 첫 개인정보 유출 정황이 파악된 바 있다.

하지만 기간을 확대해 조사한 결과 2024년 10월부터 개인정보 유출 정황이 발견됐다. 소액결제 8400만 건과 DCB 결제 6300만 건이 모두 포함됐으며, ARS 뿐만 아니라 문자메시지(SMS) 및 패스(PASS) 인증을 통해 일어난 결제까지 전체를 망라했다.

KT는 전체 휴대폰과 기지국 간 4조 300억 건에 달하는 접속 기록을 전수 조사해 불법 펨토셀을 탐지한 뒤 불법 펨토셀 ID 접속 이력과 전체 결제 데이터를 교차 검증하는 방식으로 분석했다.

패스 인증 및 DCB 결제에선 이상 결제가 발생하지 않은 것으로 나타났다. DCB 결제란 구글 플레이스토어나 애플 앱스토어 등 앱마켓에서 콘텐츠를 구매한 후 통신요금에 합산해 결제하는 방식이다.

무단 소액결제가 최초로 발생한 시점은 2025년 8월 5일이며, KT가 비정상적 소액결제 시도를 차단한 9월 5일 이후 새로운 피해는 발생하지 않았다.

KT는 이번 조사 결과를 바탕으로개인정보보호위원회 등 관계 기관에 보완 신고했으며, 추가로 피해가 확인된 고객에 대한 보호 조치도 이행 중이다. 또 대규모 전수 조사에 시간이 소요된 점에 대해 거듭 사과하며, 정부 조사 및 경찰 수사에 계속 성실히 협조하겠다고 밝혔다.

아울러 재발 방지를 위한 기술·제도적 보완책 마련과 실질적 고객 보호 조치에 끝까지 책임을 다하겠다는 방침이다.


다음은 [일문일답]

Q. 추가 피해 사실이 발견되면서 위약금 면제 목소리가 높아질텐데 관련 입장 변화가 있나. 안전안심보험과 전문매장 등 현재 운영 현황은?
위약금은 민간합동조사단 결과와 고객 피해를 검토해 진행할 계획이다. 안전안심 보험은 기존 2만 30명이 가입돼 진행되고 있다. 별도 가입신청 없이도 문제 시 연락해 보상받을 수 있는 구조다. 피싱 해킹 보험, 소액 결제 피해 시 경찰 신고 방법 안내 등을 진행 중이다.

Q. 2024년 8월 1일로 전수조사 기간을 확대한 배경은? 패스나 DCB 결제는 피해 없다고 했는데 문자 인증 시 암호화된 것이 맞는지?
2024년 8월1일부터의 데이터는 관련 법령 및 규정에 의해 저장되는 1년치다. 삭제하지 않고 있어서 최장 13개월까지 분석했다. 패스와 DCB 결제 등은 민간합동조사관 조사 결과가 나오면 말씀드릴 수 있을 것이다.

Q. 2024년 8월 1일 이전엔 얼마나 많은 불법 기지국이 얼마나 많은 가입자와 접속했는지 모르는 것인가? 이 불법 기지국들이 개인정보를 빼갈 수가 없다고 이야기 했는데, 사실상 패킷 감청이 가능한 구조로 보이는데 패킷 빼내서 분석하면 나오는 거 아닌가?
가지고 있는 모든 데이터로 분석했다. 개인정보의 경우 패킷 감청 부분은 정확하게 확인된 바 없다. 현재까지 불법 기지국 통해 유출 정황이 발견된 3종의 개인정보 IMSI, IMEI, 전화번호는 신고했다. 결제 시에는 이름이나 생년월일, 성별이 필요한데 그 시나리오는 경찰 조사 중이다. 나머진 조사해서 나오면 확인될 것 같다.

Q. 새로 발견된 불법 ID는 조사 기간을 넓히면서 발견했는지? 불법 ID 추가 발견 시기가 언제인가?
면밀한 조사를 통해 피해 제외 고객이 없도록 불법 펨토셀과 불법 결제를 탐지하는 로직을 단계적으로 정교화해 불법 펨토셀 ID가 16개 증가했다. 발견 시기 검증은 진행 중인데, 오늘 최종적으로 이렇게 확인했다.

Q.최초 접속이 2024년부터라면 그 불법 기지국에서 개인정보 유출이나 범죄 가능성은 없는 건지? 불법 접속을 모니터링 못한 이유가 뭔지?
유출 ‘정황’이라고 한 것은 DB 자체가 나가는 게 아니라 어떤 메시지들이 불법 기지국을 통해 처리됐을 가능성 때문에 정황이라 했다. 그 고객들은 이번 조사에 다 포함됐다. 이런 불법 펨토셀들이 KT 망에 붙지 못하도록 조치했고 실시간 모니터링을 하고 있다.

Q. 전체 고객으로 유심 교체나 보호서비스 늘릴 계획은 없나?
말씀드렸듯 인증키는 유출되지 않았다. 유심 복제 우려가 없음에도 불안을 느끼는 고객에게는 유심 교체와 유심 보호서비스를 적극 안내하고 있다.

Q. SKT는 해킹 사태 당시 전체 고객에게 문자 공지를 했다. KT는 피해 고객 위주로 안내를 하면 일반 고객은 제대로 대응이 안되지 않나?

일반고객도 유심 보호서비스 진행 중이며 일반 매장도 안전안심 서비스 통해 전체 고객 안심에 주력하고 있다. 망에 대한 안정성 확보 등으로 전체 고객에게 안정감 줄 수 있는 노력을 하고 있다. SKT와는 피해 규모의 차이가 있다.

Q.모니터링 시스템 재정비는 어떤 방향이고, 언제부터 시행하는지?

우리가 관리하지 않는 시스템은 아예 우리 망에 붙지 않도록 했고 붙을 경우 상호 체크하는 로직을 넣었다. 장비들에게 어떤 메시지를 보내고 정확히 응답하지 못하면 연동을 끊는 식이다. 불법 패턴 등 여러 룰을 일부 적용했다. 이번달 안에 다 들어가면 합동조사단 검증을 통해 설명하겠다.

Q. 해킹 의심 서버 폐기를 과기정통부는 고의적 조사 방해라 봤고, 현재 수사 중인데, KT 입장은?
침해 정황 없는 것을 확인하고 내부 서버 VM을 삭제한 것이고 의도적 폐기는 없었다. 수사에 성실하게 협조하겠다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>